Auftragsbearbeitungsvertrag

Dieser Vertrag regelt die Bearbeitung von Personendaten durch Mandact im Auftrag seiner Kundinnen und Kunden. Er gilt nach Art. 9 revDSG und Art. 28 DSGVO und wird mit Annahme der AGB Bestandteil des Vertragsverhältnisses — eine gesonderte Unterschrift ist nicht nötig.

1. Parteien

Verantwortliche ist die Kundin oder der Kunde — die Stelle, die entscheidet, welche Vollmachten ausgestellt und welche Daten dabei verarbeitet werden.

Auftragsbearbeiterin ist die Innopulse Consulting GmbH, Gotthardstrasse 30, 6300 Zug, Schweiz (UID CHE-219.727.921) — nachfolgend „Mandact".

2. Gegenstand und Dauer

Mandact bearbeitet Personendaten ausschliesslich, um die vertraglich vereinbarten Leistungen zu erbringen: Vollmachten ausstellen, prüfen, widerrufen und die Beweiskette führen.

Die Bearbeitung dauert so lange wie das Vertragsverhältnis. Nach dessen Ende gilt Abschnitt 8.

3. Art der Daten und betroffene Personen

4. Weisungsgebundenheit

Mandact bearbeitet Personendaten nur auf dokumentierte Weisung der Verantwortlichen. Als Weisung gelten der Vertrag, die AGB, dieses Dokument sowie die Nutzung der Anwendung selbst — jedes Ausstellen, Prüfen oder Widerrufen einer Vollmacht ist eine Weisung.

Hält Mandact eine Weisung für rechtswidrig, teilt Mandact dies mit und darf die Ausführung aussetzen.

Ausnahme: Ist Mandact gesetzlich zur Bearbeitung verpflichtet (etwa durch eine behördliche Anordnung), informiert Mandact die Verantwortliche vorab — sofern das Gesetz die Mitteilung nicht untersagt.

5. Vertraulichkeit

Alle Personen, die bei Mandact Zugang zu Personendaten haben, sind zur Vertraulichkeit verpflichtet. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

6. Technische und organisatorische Massnahmen

Mandact ergreift insbesondere folgende Massnahmen:

• Mandantentrennung auf Datenbankebene. Row-Level-Security stellt sicher, dass eine Organisation technisch nicht auf die Daten einer anderen zugreifen kann — auch nicht bei einem Fehler in der Anwendungslogik.
• Verschlüsselung. Übertragung ausschliesslich per TLS. Private Agenten-Schlüssel ruhend verschlüsselt (AES-256-GCM).
• Beweisintegrität. Die Beweiskette ist hash-verkettet und auf Datenbankebene gegen UPDATE und DELETE gesperrt. Ein nachträgliches Ändern eines Eintrags bricht die Kette nachweisbar.
• Zugriffskontrolle. Rollenbasierte Rechte (Owner, Admin, Issuer, Auditor, Developer). API-Schlüssel sind organisationsgebunden und einzeln widerrufbar.
• Wiederholungsschutz. Jede Prüfanfrage ist einmalig gültig; ein erneutes Einreichen derselben Anfrage wird abgewiesen.
• Belastbarkeit. Betrieb auf verwalteter Infrastruktur mit automatischer Sicherung.

Was die Massnahmen nicht umfassen

Es gibt kein Hardware-Sicherheitsmodul (verschlüsselter Schlüsselspeicher) und keine automatische Schlüsselrotation. Der Hauptschlüssel für die Verschlüsselung der privaten Agenten-Schlüssel liegt als Umgebungsvariable vor.

Das steht hier, weil eine Verantwortliche das für ihre eigene Risikobeurteilung wissen muss. Wer ein Bedrohungsmodell hat, das eine verschlüsselte Verwahrung verlangt, sollte den aktuellen Reifegrad nicht als ausreichend annehmen.

7. Unterauftragnehmer

Die Verantwortliche stimmt dem Einsatz der folgenden Unterauftragnehmer zu:

Mandact informiert mindestens 30 Tage vor dem Wechsel oder der Hinzunahme eines Unterauftragnehmers. Die Verantwortliche kann widersprechen; bei berechtigtem Widerspruch, den Mandact nicht ausräumen kann, darf sie ausserordentlich kündigen.

Mandact verpflichtet jeden Unterauftragnehmer auf ein Schutzniveau, das diesem Vertrag entspricht.

8. Löschung und Rückgabe

Nach Ende des Vertragsverhältnisses stehen der Verantwortlichen 30 Tage für den Export zur Verfügung. Danach löscht Mandact die Personendaten.

Ausnahme Beweiskette. Einträge der Beweiskette bleiben für die Dauer der gesetzlichen Aufbewahrungsfrist bestehen. Ihre Löschung würde die Kette brechen und damit die Beweiskraft für alle anderen Beteiligten zerstören — insbesondere für Akzeptanzstellen, die sich auf eine geprüfte Vollmacht verlassen haben.

Die Einträge enthalten Mandats- und Agentenkennungen sowie Prüfergebnisse — keine Klarnamen, keine Kontaktdaten. Rechtsgrundlage: Art. 32 Abs. 3 revDSG bzw. Art. 17 Abs. 3 lit. e DSGVO.

9. Unterstützung der Verantwortlichen

Mandact unterstützt die Verantwortliche bei:

• Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Herausgabe) — Export- und Löschfunktionen stehen in der Anwendung zur Verfügung.
• Datenschutz-Folgenabschätzungen, soweit Informationen von Mandact nötig sind.
• Meldungen von Verletzungen der Datensicherheit (siehe Abschnitt 10).

10. Verletzung der Datensicherheit

Mandact meldet der Verantwortlichen jede Verletzung der Datensicherheit unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt: Art des Vorfalls, betroffene Datenkategorien, Zahl der Betroffenen, wahrscheinliche Folgen und ergriffene Massnahmen.

Meldungen an die Aufsichtsbehörde und an betroffene Personen obliegen der Verantwortlichen. Mandact liefert die dafür nötigen Informationen.

11. Nachweis und Kontrolle

Mandact stellt der Verantwortlichen auf Anfrage die Informationen zur Verfügung, die sie zum Nachweis der Einhaltung dieses Vertrags benötigt.

Die Verantwortliche kann eine Überprüfung verlangen — nach Ankündigung mit angemessener Frist, während der Geschäftszeiten und ohne unverhältnismässige Störung des Betriebs. Die Kosten trägt die Verantwortliche, es sei denn, die Prüfung deckt einen wesentlichen Verstoss auf.

12. Datenübermittlung in Drittstaaten

Personendaten werden grundsätzlich in der Schweiz und im EWR bearbeitet. Wo eine Übermittlung in die USA erfolgt (Stripe), stützt sie sich auf Standardvertragsklauseln der EU-Kommission.

13. Haftung

Es gelten die Haftungsregeln der AGB. Die Haftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt davon unberührt.

14. Rangfolge

Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag vor, soweit es die Bearbeitung von Personendaten betrifft.

Siehe auch: Datenschutzerklärung · AGB · Impressum